satheesh575555/openssl_1.0.1g_cve-2014-3507
OpenSSL 1.0.1g 7 avr. 2014
Copyright (c) 1998-2011 The OpenSSL Project Copyright (c) 1995-1998 Eric A. Young, Tim J. Hudson Tous droits réservés.
Le projet OpenSSL est un effort collaboratif visant à développer une boîte à outils open source robuste, de qualité commerciale et complète, implémentant les protocoles Secure Sockets Layer (SSL v2/v3) et Transport Layer Security (TLS v1) ainsi qu'une bibliothèque cryptographique généraliste à part entière. Le projet est géré par une communauté mondiale de bénévoles qui utilisent Internet pour communiquer, planifier et développer la boîte à outils OpenSSL et sa documentation associée.
OpenSSL est basé sur l'excellente bibliothèque SSLeay développée par Eric A. Young et Tim J. Hudson. La boîte à outils OpenSSL est distribuée sous une double licence (la licence OpenSSL plus la licence SSLeay), ce qui signifie essentiellement que vous êtes libre de l'obtenir et de l'utiliser à des fins commerciales et non commerciales, à condition de remplir les conditions des deux licences.
La boîte à outils OpenSSL comprend :
libssl.a: Implémentation de SSLv2, SSLv3, TLSv1 et du code nécessaire pour prendre en charge à la fois SSLv2, SSLv3 et TLSv1 dans un même serveur et client.
libcrypto.a: Fonctionnalités générales de chiffrement et X.509 v1/v3 nécessaires à SSL/TLS mais n'en faisant pas réellement partie logiquement. Il comprend des routines pour ce qui suit :
Chiffrements
libdes - le paquet de chiffrement DES libdes d'EAY qui a circulé
sur le net pendant quelques années, puis a été relicencié par
lui dans le cadre de SSLeay. Il comprend 15 « modes/variations »
de DES (versions à 1, 2 et 3 clés de ecb, cbc, cfb et ofb ;
pcbc et une forme plus générale de cfb et ofb) y compris desx
en mode cbc, un crypt(3) rapide, et des routines pour lire
les mots de passe depuis le clavier.
Chiffrement RC4,
Chiffrement RC2 - 4 modes différents : ecb, cbc, cfb et ofb.
Chiffrement Blowfish - 4 modes différents : ecb, cbc, cfb et ofb.
Chiffrement IDEA - 4 modes différents : ecb, cbc, cfb et ofb.
Condensés
Algorithmes de condensé MD5 et MD2, implémentations rapides,
algorithmes de condensé SHA (SHA-0) et SHA-1,
condensé MDC2. Une empreinte basée sur DES populaire sur les cartes à puce.
Clé publique
Chiffrement/déchiffrement/génération RSA.
Le nombre de bits est illimité.
Chiffrement/déchiffrement/génération DSA.
Le nombre de bits est illimité.
Échange de clés/génération de clés Diffie-Hellman.
Le nombre de bits est illimité.
Certificats X.509v3
Encodage/décodage X509 vers/depuis l'ASN1 binaire et un encodage
binaire-ASCII basé sur PEM qui prend en charge le chiffrement avec
une clé privée. Programme pour générer des demandes de certificats
RSA et DSA et pour générer des certificats RSA et DSA.
Systèmes
Les routines normales d'enveloppe numérique et l'encodage base64. Accès
de plus haut niveau aux chiffrements et condensés par nom. De nouveaux
chiffrements peuvent être chargés à l'exécution. Le système d'E/S BIO,
une simple abstraction d'E/S non bloquante. Les méthodes actuellement
prises en charge sont les descripteurs de fichiers, les sockets,
l'acceptation de sockets, la connexion de sockets, le tampon mémoire,
le tamponnage, le client/serveur SSL, le pointeur de fichier, le
chiffrement, le condensé, les tests non bloquants et null.
Structures de données
Un système de hachage à croissance dynamique
Une pile simple.
Un chargeur de configuration qui utilise un format similaire aux fichiers MS .ini.
openssl: Un outil en ligne de commande qui peut être utilisé pour : La création de paramètres de clés RSA, DH et DSA La création de certificats X.509, de CSR et de CRL Le calcul de condensés de messages Le chiffrement et le déchiffrement avec des chiffrements Les tests de client et serveur SSL/TLS Le traitement de courriers S/MIME signés ou chiffrés
Différentes entreprises détiennent divers brevets pour divers algorithmes dans divers endroits à travers le monde. VOUS êtes responsable de vous assurer que votre utilisation de tout algorithme est légale en vérifiant s'il existe des brevets dans votre pays. Ce fichier contient certains des brevets dont nous avons connaissance ou qui sont supposés exister. Ce n'est pas une liste exhaustive.
RSA Security détient des brevets logiciels sur l'algorithme RC5. Si vous avez l'intention d'utiliser ce chiffrement, vous devez contacter RSA Security pour les conditions de licence. Leur page web est http://www.rsasecurity.com/.
RC4 est une marque déposée de RSA Security, donc l'utilisation de cette étiquette devrait peut-être se faire uniquement avec la permission de RSA Security.
L'algorithme IDEA est breveté par Ascom en Autriche, en France, en Allemagne, en Italie, au Japon, aux Pays-Bas, en Espagne, en Suède, en Suisse, au Royaume-Uni et aux États-Unis. Ils doivent être contactés si cet algorithme doit être utilisé ; leur page web est http://www.ascom.ch/.
NTT et Mitsubishi détiennent des brevets et des demandes de brevets sur l'algorithme Camellia, mais en autorisent l'utilisation gratuitement sans exiger d'accord de licence explicite : http://info.isl.ntt.co.jp/crypt/eng/info/chiteki.html
Pour installer ce paquet sous un dérivé d'Unix, lisez le fichier INSTALL. Pour une plateforme Win32, lisez le fichier INSTALL.W32. Pour les systèmes OpenVMS, lisez INSTALL.VMS.
Lisez la documentation dans le répertoire doc/. Elle est assez sommaire, mais elle répertorie les fonctions ; vous devrez probablement regarder le code pour comprendre comment les utiliser. Regardez les programmes d'exemple.
Pour certaines plateformes, il existe des problèmes connus qui peuvent affecter l'utilisateur ou l'auteur d'applications. Nous essayons de les rassembler dans doc/PROBLEMS, avec les réflexions actuelles sur la façon dont ils devraient être résolus dans une future version d'OpenSSL.
Voir le site web d'OpenSSL www.openssl.org pour plus de détails sur la façon d'obtenir un support technique commercial.
Si vous avez des problèmes avec OpenSSL, veuillez d'abord suivre les étapes suivantes :
- Téléchargez l'instantané actuel depuis ftp://ftp.openssl.org/snapshot/
pour voir si le problème a déjà été traité
- Supprimez les versions ASM des bibliothèques
- Supprimez les options d'optimisation du compilateur
Si vous souhaitez signaler un bogue, veuillez inclure les informations suivantes dans tout rapport de bogue :
- Sur les systèmes Unix :
Rapport d'auto-test généré par 'make report'
- Sur les autres systèmes :
Version d'OpenSSL : sortie de 'openssl version -a'
Nom du système d'exploitation, version, plateforme matérielle
Détails du compilateur (nom, version)
- Détails de l'application (nom, version)
- Description du problème (étapes pour reproduire le problème, si connues)
- Trace de la pile (si l'application génère un core dump)
Signalez le bogue au projet OpenSSL via le Request Tracker (http://www.openssl.org/support/rt.html) par courrier à :
Notez que le request tracker ne doit PAS être utilisé pour de l'assistance générale ou des questions de support. Le fait que quelque chose ne fonctionne pas comme vous l'attendez ne signifie pas nécessairement qu'il s'agit d'un bogue dans OpenSSL.
Notez que le courrier adressé à [email protected] est enregistré dans la base de données publiquement lisible du request tracker et est transmis à une liste de diffusion publique. Le courrier confidentiel peut être envoyé à [email protected] (clé PGP disponible auprès des serveurs de clés).
Le développement est coordonné sur la liste de diffusion openssl-dev (voir http://www.openssl.org pour des informations sur l'abonnement). Si vous souhaitez soumettre un correctif, envoyez-le à [email protected] avec la chaîne « [PATCH] » dans l'objet. Veuillez vous assurer d'inclure une explication textuelle de ce que fait votre correctif.
Si vous n'êtes pas sûr qu'une fonctionnalité sera utile pour la communauté OpenSSL en général, discutez-en d'abord sur la liste de diffusion openssl-dev. Quelqu'un travaille peut-être déjà sur la même chose, ou il peut y avoir une bonne raison pour laquelle cette fonctionnalité n'est pas implémentée.
Les correctifs doivent être aussi à jour que possible, de préférence relatifs au Git actuel ou au dernier instantané. Ils doivent suivre le style de codage d'OpenSSL et compiler sans avertissements. Certaines cibles de développement de l'équipe principale peuvent être utilisées à des fins de test (debug-steve64, debug-geoff, etc.). OpenSSL compile sur de nombreuses plateformes variées : essayez de vous assurer que vous n'utilisez que des fonctionnalités portables.
Remarque : Pour des raisons légales, les contributions des États-Unis ne peuvent être acceptées que si une notification TSU et une copie du correctif sont envoyées à [email protected] (anciennement BXA) avec une copie au coordinateur des demandes de chiffrement ENC ; veuillez prendre le temps de consulter http://www.bis.doc.gov/Encryption/PubAvailEncSourceCodeNofify.html [sic] et http://w3.access.gpo.gov/bis/ear/pdf/740.pdf (section 740.13(e) de l'EAR) pour les détails. Si « votre code source de chiffrement est trop volumineux pour servir de pièce jointe à un e-mail », ils sont heureux de le recevoir par fax à la place ; espérons que vous avez un forfait longue distance bon marché.
Le format préféré pour les modifications est la sortie « diff -u ». Vous pouvez la générer ainsi :